网硕互联帮助中心最新官方通报：多地企业遭遇大规模.sorry勒索病毒攻击，无密钥无法解密，核心数据、业务系统全面瘫痪！
01 预警前言
近日，国家计算机病毒应急处理中心、央视新闻联合发布高危安全预警，国内多家政企单位集中爆发 .sorry 勒索病毒 攻击事件，攻击覆盖面广、破坏性极强。
本次勒索病毒分化两大独立攻击分支，精准匹配不同企业业务场景：一支本土化团伙专攻老旧Windows财务办公服务器，一支全新GO语言变种重点突袭公网Linux网站服务器。设备中招后，所有文件将强制追加 .sorry 后缀，无专属解密密钥无法恢复数据，将对企业造成不可逆的数据损毁与经济损失。
02 两大病毒分支｜精准击穿企业核心资产
分支一：Windows 本土化变种（中小企业财务服务器重灾区）
该分支隶属于 TellYouThePass 勒索家族，具备极强的国内本土化攻击特征，主要瞄准部署老旧金万维异速联+金蝶K3的小微企业财务服务器，也是本次企业中招的核心重灾区。
核心高危背景
金万维官方早在2025年2月已正式官宣：旧版异速联全面停止维护、存在致命安全缺陷，强制要求企业升级全新架构产品。但大量企业因业务惯性、迁移成本等问题未完成升级，遗留高危漏洞端口，成为黑客重点狩猎目标。
完整攻击链路（五步全程击穿内网）
✅ 步骤1：弱口令爆破破门
攻击者通过全网资产测绘，批量扫描对外开放 8000（异速联Web）、10020（RDP）端口的服务器。该系统 LoginServer 接口无验证码、无登录锁定风控，123456、admin123、企业简称+数字等常见弱口令，可被自动化脚本无限撞库、批量破解。
✅ 步骤2：影子账户无感入侵内网
破解账号后，攻击者下载客户端登录系统，后台将自动生成 GNWay_admin_xxx 影子系统账户。依托远程接入平台的信任机制，攻击者可无密码单点登录，直接穿透内网、进入金蝶K3核心财务系统。
✅ 步骤3：沙箱逃逸拿下服务器最高权限
攻击者利用金蝶系统帮助文档、文件导出等可交互功能，唤起服务器本地资源管理器。通过 Shift+鼠标右键 快捷操作，可直接调出 CMD、PowerShell 命令行，彻底突破应用沙箱限制，掌控服务器底层最高操作权限。
✅ 步骤4：伪装病毒规避安全巡检
攻击者上传勒索程序 gnsc.exe，利用异速联官方进程均以「Gn」开头的命名规则伪装自身，完美规避人工巡检、基础进程白名单监控，静默落地服务器公用目录等待执行。
✅ 步骤5：全盘加密锁死核心数据
病毒运行后，将全盘加密企业财务账套、办公文档、数据库等核心文件，所有文件后缀统一变更为 .sorry。同时自动清除系统备份、卷影副本，彻底断绝本地数据恢复渠道。
分支二：Linux 全新GO变种（网站/信创服务器高危）
该变种为2026年全新曝光的勒索病毒家族，基于GO语言开发，专门针对公网暴露的Linux、国产信创服务器，具备隐蔽性强、传播速度快、破坏力度大的特点。
核心入侵漏洞
利用高危漏洞：CVE-2026-41940 / CNNVD-202604-5641（WebPros cPanel授权漏洞），无需复杂攻击手段，攻击者可直接获取服务器最高管理权限。
病毒完整破坏流程
1. 隐蔽潜伏：病毒伪装为系统原生 sshd 进程，后台静默运行，常规运维无法感知；
2. 信息窃取：自动采集服务器硬件、账号、网络信息，主动回传至攻击者服务器；
3. 清除障碍：强制终止数据库、杀毒软件、备份服务，彻底切断防护与数据恢复途径；
4. 双重加密：采用 AES+RSA 双重加密算法，高强度加密全站源码、配置文件、核心业务数据；
5. 内网扩散：自动扫描22/2222/22222等SSH端口，通过弱口令爆破，横向感染内网所有Linux主机。
致命风险：该病毒适配国内所有主流Linux及信创操作系统，设备感染后无通用解密方案，极易引发大规模数据泄露、全网内网瘫痪。
03 快速自查｜中招核心特征
各位运维人员、企业负责人可立即对照自查，出现以下任意情况，即可判定为病毒感染：
1. 📁 文件异常：所有文档、压缩包、数据库文件后缀自动新增 .sorry；
2. 📄 勒索文件：磁盘目录生成 README.md 勒索信，诱导用户下载境外工具沟通赎金；
3. ⚙️ 进程异常：Windows出现陌生 gnsc.exe 进程，Linux存在异常sshd后台进程；
4. 🚫 业务瘫痪：金蝶财务系统、网站服务无法访问，系统备份服务自动异常终止。
04 分场景防护｜企业立即落地整改
🔧 场景一：使用金万维异速联的财务服务器
1. 彻底淘汰老旧高危版本
立即停用2020年已停更的旧版异速联，优先升级至官方天高online加速版；短期内无法完成迁移的，必须安装官方专属安全补丁，同步关闭服务器桌面发布高危权限。
2. 收敛公网暴露面
防火墙封禁外网 8000、10020 高危端口，远程办公禁止公网直接暴露业务端口，改用VPN+堡垒机合规访问，仅放行固定办公IP白名单。
3. 强化身份认证体系
全员彻底禁用弱口令，统一设置12位以上大小写、数字、符号组合复杂密码；开启登录图形验证码、5次密码错误账号锁定机制，有条件企业强制部署双因素认证。
4. 收紧服务器权限
严格限制异速联影子账户操作权限，禁止普通业务账号访问系统核心目录、调用CMD/PowerShell命令行，从源头杜绝沙箱逃逸风险。
🔧 场景二：Linux网站/信创服务器
1. 紧急漏洞修复
全面排查服务器 cPanel、WHM、WP Squraed 服务，立即升级至官方最新安全版本，无业务需求的服务直接卸载关停，消除漏洞入口。
2. 加固SSH远程访问
修改SSH默认22端口，彻底关闭密码登录模式，仅保留密钥认证；配置可信IP白名单，杜绝全网匿名访问、暴力爆破。
3. 常态化进程监控
开启系统安全审计功能，重点监控sshd、数据库核心进程异常行为，定期查杀服务器未知后台程序、可疑进程。
🔧 全企业通用长效防护
1. 严守3-2-1备份原则（最后防线）
严格落实数据3-2-1备份规范：至少3份数据副本、2种存储介质、1份离线异地备份；定期开展备份恢复演练，离线备份设备常态断网，避免被病毒同步加密。
2. 常态化安全防护
服务器、办公终端全程开启杀毒/EDR实时监控，及时更新系统补丁与安全软件版本，封堵各类高危漏洞。
3. 杜绝各类解密骗局
切勿下载网传“免费解密工具”，切勿联系攻击者支付赎金，此类操作极易引发二次木马感染、遭遇反复勒索，造成更大损失。
05 感染应急处置流程
一旦发现服务器疑似中招，请勿盲目操作，严格按照以下步骤止损降损：
1. 立即断网隔离：第一时间断开服务器内外网网线，彻底阻断病毒内网横向扩散；
2. 坚决拒绝赎金：支付赎金无法百分百保证数据恢复，还存在隐私泄露、二次勒索等高风险；
3. 取证查杀加固：留存系统日志、攻击痕迹用于溯源，全盘查杀病毒程序，完成漏洞、口令、暴露面全方位加固；
4. 备份恢复业务：安全整改、病毒彻底清理后，通过离线完整备份恢复核心数据与业务系统。
写在最后
本次 .sorry 勒索病毒 大规模爆发，并未使用高端0day漏洞，核心攻击逻辑仅依靠：老旧遗留资产+弱口令漏洞+过度信任的远程架构三类基础安全问题。
网络安全的短板效应在本次攻击中展现得淋漓尽致：一处边缘高危资产失守，便可击穿企业整体核心数据防线，造成全盘瘫痪。
请各企业运维人员、负责人高度警惕，立即对照本文完成全面自查整改，筑牢远程接入、数据备份两大核心安全底线，规避勒索病毒攻击风险！
评论前必须登录！
注册